SOAP tem mais burocracia do que REST.
Basicamente a diferença é que no SOAP, todos os tipos de dados tem que estar pré-definidos no contrato da interface - então, a própria camada do SOAP já vai emitir um erro, se for enviada uma lista onde deveria haver uma string (se é que SOAP tem lista).
Em REST, o payload pode ser qualquer JSON - e, eventualmente, uma verificação tem que ser feita na própria aplicação para alguns dos dados que chegam no JSON, sob pena de se ter um mau funcionamento.
Como exemplo concreto justamente isso aconteceu num projeto em que eu estava: o front-end mandou uma lista, onde no backend esperávamos uma string, e isso desencadeava um erro na view.
Mas perceba que se o projeto estivesse sendo feito com testes e documentação apropriados isso não teria acontecido - e também que esse erro em particular não apresentava perigo algum em termos de segurança.
Em geral os frameworks REST permitem que você especifique validação dos campos - isso só não é obrigatório. Com os campos especificados não a diferença em termos de segurança ou confiabilidade da aplicação.
Por outro lado, o peso de especificações de cada view, e os dados redundantes em cada payload SOAP, tornam ele um protocolo bem ruim para trabalhar em quase qualquer quesito. Há muitos outras formas de validar dados além de replicar a especificação do payload para todo lado usando XML.